Sådan vælger I en ekstern CISO

En ekstern CISO vælges på fire ting, der hører særligt til sikkerhedsrollen: afstanden til den leverandør, der driver jeres systemer, evnen til at få ledelsen til at træffe beslutninger, hvem der tager telefonen, når noget går galt, og at dokumenterne bliver jeres. De almindelige krav til en ekstern leder, til rådgivningens uafhængighed og til selve aftalen gælder også her. Dem gennemgår ekstern-it-ledelse.dk i kravene til den eksterne, om uvildig IT-rådgivning og om aftalen. Siden her samler det, som kun sikkerhedsrollen stiller krav om.

Afstand til driftsleverandøren

Den, der skal vurdere sikkerheden, bør stå uden for den drift, der vurderes. Er jeres CISO ansat hos eller tilknyttet IT-leverandøren, kommer vedkommende til at bedømme kollegernes arbejde, og fund om opdateringer, backup eller adgange bliver et internt spørgsmål hos leverandøren frem for et spørgsmål til jer. Spørg derfor direkte, om udbyderen har ejerskab i, aftaler med eller indtægt fra jeres nuværende eller mulige leverandører. Hvad leverandøren med rette kan eje, er beskrevet i Kan IT-leverandøren også være vores CISO?, og konflikter mellem de to er emnet i Når CISO og IT-leverandøren er uenige.

Tyngde over for ledelsen

En ekstern CISO arbejder gennem ledelsen. Personen skal kunne forklare en risiko i kroner, driftstimer og kundeforhold, så direktionen og bestyrelsen kan beslutte at handle, acceptere eller udskyde. Bed om at se et eksempel på en rapport til en ledelse, anonymiseret, og vurder, om jeres bestyrelsesformand ville forstå den uden oversættelse. Spørg også, hvordan udbyderen håndterer en ledelse, der vælger at acceptere en risiko, som CISO selv ville have lukket. Svaret viser, om rollen respekterer, at beslutningen ligger hos jer. Rapporteringslinjen er uddybet i Hvem refererer CISO til, når rollen er ekstern?.

Dækning, når hændelsen kommer

En hændelse følger ikke mødekalenderen, og NIS2-lovens frister for underretning begynder at løbe, når I får kendskab til den. Afklar før underskriften, hvordan I når jeres CISO uden for aftalte møder, hvem der træder til ved ferie og sygdom, og om CISO deltager i beslutningen om, hvorvidt hændelsen skal underrettes. En CISO behøver ikke selv at håndtere den tekniske del, men skal kunne stå ved siden af ledelsen i de første timer. Fristerne er samlet på Frister i sikkerhedsarbejdet, og ledelsens beslutninger på Beredskab og hændelser set fra ledelsen.

Dokumenterne skal være jeres

Risikovurdering, politik, plan, leverandøroverblik og beslutningslog er det, I skal kunne vise en kunde, et forsikringsselskab eller myndigheden. Aftal, at alt ligger i jeres egne systemer fra første dag, i formater I kan åbne uden udbyderens værktøj, og at intet skal købes fri ved et skifte. Det samme gælder skabeloner, som udbyderen tilpasser til jer. Hvem der ejer hvert dokument internt, er beskrevet i Hvem ejer hvilket sikkerhedsdokument?.

Ti spørgsmål til udbyderen

1. Hvilke bindinger har I til IT-leverandører, produkter eller forsikringsselskaber, og hvordan oplyser I om nye?
2. Hvem er den faste person hos os, og hvem overtager ved fravær?
3. Hvordan når vi jer, hvis en hændelse opstår en fredag aften?
4. Hvad gør I de første tre måneder, og hvad får ledelsen i hånden bagefter?
5. Hvordan omsætter I tekniske fund til noget, bestyrelsen kan tage stilling til?
6. Hvilket mandat forventer I at få, og hvad vil I altid forelægge direktionen?
7. Hvordan følger I op over for vores IT-leverandør uden at overtage driften?
8. Hvordan hjælper I med kundernes sikkerhedsspørgeskemaer og forsikringens spørgsmål?
9. Hvor ligger dokumenterne, og hvad sker der med dem, når samarbejdet slutter?
10. Hvordan måler vi efter et år, om sikkerhedsarbejdet er kommet videre?

Svarene skal være konkrete. En udbyder, der svarer med produktnavne på spørgsmål 7, har givet jer et svar på spørgsmål 1.

Referencer, der siger noget

Bed om referencer fra virksomheder af jeres størrelse, gerne i en branche med lignende krav, og tal med den person, der var udbyderens modpart i ledelsen. Spørg, om rapporterne blev læst, om planen blev fulgt, og hvordan CISO opførte sig under den første alvorlige sag. En reference fra en IT-afdeling fortæller mindre, fordi rollen netop skal fungere over for direktion og bestyrelse. Hvad rollen indebærer i det daglige, står i Hvad er en vCISO, og hvad laver den i en mindre virksomhed?, og hvad I bør have i hånden efter det første år, står på Det får ledelsen af en ekstern CISO.

Det skal I lade være med

• At vælge den, der allerede har adgang til alt · den leverandør, der har de administrative adgange, er sjældent den rette til at vurdere dem.
• At vælge på certifikater alene · en lang række kurser siger lidt om evnen til at få en direktion til at beslutte.
• At udskyde spørgsmålet om dækning · det er for sent at aftale vagtordningen, når hændelsen er i gang.

Det skal I kræve af den eksterne

• ☐ Skriftlig oplysning om alle bindinger til leverandører og produkter.
• ☐ En navngiven fast person og en navngiven stedfortræder.
• ☐ En beskrevet ordning for kontakt ved hændelser uden for møderne.
• ☐ At alle dokumenter ligger hos jer i åbne formater.
• ☐ Referencer, I selv må kontakte.

Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.

Senest gennemgået: november 2026.

Næste skridt

• Hvilket mandat skal en ekstern CISO have?
• Sådan forløber et samarbejde med en ekstern CISO

Læs også: Har I styr på sikkerhedsledelsen? · Ekstern CISO: hvornår giver det mening?

→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT